搜索

[4521] 2017-11-09_新型代码注入技术PROPagate影响主流版本Windows

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2017-11-09_新型代码注入技术PROPagate影响主流版本Windows 新 型 代 码 注 入 技 术 P R O P a g a t e 影 响 主 流 版 本 W i n d o w s 原 创   E 小 编   E 安 全   2 0 1 7 - 1 1 - 0 9 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 1 月 9 日 讯   H e x a c o r n 一 名 安 全 研 究 员 （ 网 名 A d a m ） 发 现 一 种 被 称 为 “ P R O P a g a t e ” 的 新 型 W i n d o w s 代 码 注 入 技 术 ， 它 利 用 合 法 W i n d o w s   G U I 管 理 A P I 和 函 数 的 通 用 属 性 。 主 流 主 流 W i n d o w s 版 本 上 的 多 个 应 用 程 序 受 影 响 版 本 上 的 多 个 应 用 程 序 受 影 响 A d a m 最 初 集 中 研 究 W i n d o w s 操 作 系 统 函 数 S e t W i n d o w S u b c l a s s   A P I ， 负 责 管 理 父 进 程 内 G U I 应 用 程 序 窗 口 。 发 现 其 能 滥 用 S e t W i n d o w S u b c l a s s 函 数 内 部 使 用 的 合 法 G U I 窗 口 属 性 （ U x S u b c l a s s I n f o 和 C C 3 2 S u b c l a s s I n f o ） ， 在 其 它 合 法 应 用 程 序 内 部 加 载 并 执 行 恶 意 代 码 。 A d a m 表 示 ， 并 不 是 所 有 进 程 都 可 以 实 现 注 入 ， 只 有 使 用 W i n d o w s   G U I 控 制 和 流 行 G U I 框 架 的 应 用 程 序 能 实 现 注 入 。 A d a m 补 充 称 ， 这 并 不 是 真 正 意 义 上 的 限 制 ， 该 漏 洞 覆 盖 了 大 多 数 流 行 的 应 用 程 序 ， 包 括 W i n d o w s   E x p l o r e r — — 流 行 的 代 码 注 入 目 标 。 安 全 研 究 员 A d a m   1 0 月 底 发 布 博 文 初 次 介 绍 P R O P a g a t e 技 术 时 表 示 ， P o C   P R O P a g a t e 攻 击 将 代 码 注 入 了 将 代 码 注 入 了 W i n d o w s   E x p l o r e r 、 、 T o t a l   C o m m a n d e r 、 、   P r o c e s s   H a c k e r 、 、 O l l y d b g 等 应 用 程 序 。 等 应 用 程 序 。 A d a m 表 示 不 会 在 网 上 发 布 这 个 对 W i n d o w s   X P 和 W i n d o w s   1 0   都 奏 效 的 P o C 。 A d a m 上 周 五 发 布 后 续 研 究 时 表 示 ， 稍 作 修 改 后 ， P R O P a g a t e 代 码 注 入 攻 击 对 3 2 位 和 6 4 位 进 程 均 奏 效 。
P R O P a g a t e 攻 击 可 以 通 过 其 它 攻 击 可 以 通 过 其 它 A P I 实 现 实 现 安 全 研 究 员 A d a m 表 示 ， 除 了 S e t W i n d o w S u b c l a s s   A P I 属 性 U x S u b c l a s s I n f o 和 C C 3 2 S u b c l a s s I n f o ， 其 它 通 用 或 合 法 属 性 可 以 以 相 同 的 方 式 被 潜 在 利 用 ， 并 且 有 进 一 步 的 研 究 空 间 。 许 多 应 用 程 序 会 创 建 窗 口 属 性 ， 其 利 用 的 属 性 似 乎 包 含 引 用 回 调 函 数 或 经 修 改 指 向 恶 意 代 码 方 法 的 M e m o r y   P o i n t e r 。 A d a m 罗 列 了 罗 列 了 P R O P a g a t e 攻 击 的 未 来 研 究 途 径 ： 攻 击 的 未 来 研 究 途 径 ： 微 软 类 库 M F C （ M i c r o s o f t   F o u n d a t i o n   C l a s s   L i b r a r y ） 使 用 ‘ A f x O l d W n d P r o c 4 2 3 ’ 属 性 对 窗 口 创 建 子 类 。 C o n t r o l O f s [ H E X ] _ 与 D e l p h i 应 用 程 序 有 关 的 属 性 引 用 内 存 可 视 化 组 件 库 （ V C L ） 对 象 。 新 窗 口 框 架 ， 例 如 M i c r o s o f t . W i n d o w s . W i n d o w F a c t o r y . * 大 量 自 定 义 控 制 使 用 “ 子 类 ” ， 并 且 这 些 控 制 能 以 类 似 的 方 式 被 修 改 。 一 些 属 性 会 暴 露 C O M / O L E 接 口 ， 例 如 O l e D r o p T a r g e t I n t e r f a c e 。 S e t W i n d o w W o r d   和 S e t C l a s s W o r d 。 P R O P a g a t e 恐 无 法 靠 打 补 丁 进 行 修 复 恐 无 法 靠 打 补 丁 进 行 修 复   安 全 研 究 员 A d a m 明 确 表 示 ， P R O P a g a t e 是 一 种 逃 避 技 术 ， 与 其 它 类 型 的 安 全 漏 洞 （ 如 远 程 代 码 执 行 或 提 权 漏 洞 ） 相 比 ， P R O P a g a t e 不 算 是 一 个 值 得 关 注 的 严 重 问 题 ， 因 此 他 并 未 联 系 微 软 。 A d a m 补 充 称 ， 要 利 用 这 种 攻 击 ， 攻 击 者 必 须 在 系 统 上 运 行 代 码 。 P R O P a g a t e 与 A t o m B o m b i n g 类 似 ， 尽 管 可 被 武 器 化   ， 但 即 使 安 全 研 究 员 A d a m 向 微 软 报 告 了 这 个 问 题 ， 微 软 可 能 不 会 将 其 视 为 安 全 漏 洞 。 去 年 发 现 类 似 的 代 码 注 入 技 术 A t o m B o m b i n g 的 e n S i l o 研 究 团 队 联 系 微 软 后 ， 由 于 A t o m B o m b i n g 是 一 个 设 计 缺 陷 ， 而 非 漏 洞 ， M i c r o s o f t 无 法 在 不 改 变 整 个 O S 运 作 模 式 的 情 况 下 打 补 丁 修 复 。 但 在 e n S i l o 披 露 A t o m B o m b i n g 技 术 几 个 月 后 ， D r i d e x 银 行 木 马 使 用 该 技 术 将 恶 意 代 码 注 入 被 感 染 电 脑 上 的 合 法 应 用 程 序 。 P R O P a g a t e 也 有 可 能 被 用 于 发 起 类 似 的 恶 意 软 件 攻 击 。 A d a m 指 出 ， A t o m B o m b i n g 就 是 一 个 绝 佳 的 例 子 ， P R O P a g a t e 在 本 质 上 与 A t o m B o m b i n g 非 常 类 似 。 这 是 在 远 程 进 程 内 执 行 代 码 的 简 练 方 式 ， 无 需 借 助 传 统 的 方 式 ， 例 如 远 程 线 程 或 异 步 过 程 调 用 。 在 操 作 系 统 和 反 病 毒 层 面 防 范 代 码 执 行 技 术 一 直 相 当
困 难 。 另 一 代 码 注 入 技 术 ： 另 一 代 码 注 入 技 术 ： A t o m B o m b i n 2 0 1 6 年 年 底 ， 一 种 称 为 A t o m B o m b i n 的 新 的 代 码 注 入 技 术 被 发 现 ， 该 技 术 利 用 W i n d o w s 的 异 步 过 程 调 用 （ 简 称 A P C ） 机 制 。 该 恶 意 软 件 能 修 改 W i n d o w s 的 操 作 系 统 a t o m   t a b l e ， 欺 骗 合 法 应 用 程 序 执 行 恶 意 活 动 。 A t o m B o m b i n g 还 帮 助 恶 意 软 件 执 行 M a n - i n - t h e - B r o w s e r （ M i t B ） 攻 击 ， 这 是 银 行 木 马 常 用 的 攻 击 媒 介 。 通 过 利 用 A t o m B o m b i n g ， 恶 意 软 件 还 能 对 用 户 屏 幕 进 行 截 屏 ， 访 问 加 密 密 码 或 采 取 白 名 单 应 用 程 序 能 执 行 的 其 它 活 动 。 当 时 ， 所 有 W i n d o w s 版 本 受 影 响 ， 且 还 不 能 够 被 防 入 侵 的 安 全 工 具 检 测 到 。 A t o m B o m b i n g 需 要 以 下 三 步 来 实 现 ： 需 要 以 下 三 步 来 实 现 ： 1 . 任 意 地 址 写 任 意 值 （ W r i t e - W h a t - W h e r e ）   -   能 够 将 任 意 数 据 写 入 目 标 进 程 的 地 址 空 间 中 的 任 意 位 置 。 2 . 执 行   -   劫 持 目 标 进 程 的 线 程 以 执 行 在 步 骤 1 中 写 入 的 代 码 。 3 . 恢 复   -   清 理 并 且 恢 复 执 行 在 步 骤 2 中 被 劫 持 的 线 程 。 其 他 代 码 注 入 技 术 其 他 代 码 注 入 技 术 除 了 A t o m B o m b i n b ， 过 去 发 现 的 其 它 代 码 注 入 技 术 还 包 括 S Q L 注 入 、 X S S 攻 击 、 h o t p a t c h i n g 、 c o d e   h o o k i n g 等 。 较 为 出 名 的 曾 被 滥 用 的 其 它 一 些 臭 名 昭 著 的 代 码 注 入 技 术 包 括 ： D L L   S i d e l o a d i n g 、 P r o c e s s   H o l l o w i n g 、 异 步 过 程 调 用 （ A P C ） 劫 持 、 G a p z / P o w e r l o a d e r / E X M I 技 术 、 A t o m B o m b i n g 和 H o o k 导 入 表 （ I A T   h o o k i n g ） 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 5 9 6 0 3 9 8 7 7 . s h t m l
推 荐 阅 读 ： 代 码 注 入 新 技 术 “ A t o m B o m b i n g ” 影 响 所 有 W i n d o w s 版 本 美 安 全 企 业 称 中 国 T A 4 5 9   A P T 组 织 利 用 微 软 漏 洞 攻 击 中 亚 国 家 微 软 曾 于 2 0 1 3 年 因 数 据 库 安 全 漏 洞 遭 信 息 外 泄 知 名 加 密 通 讯 应 用 S i g n a l 计 划 强 化 隐 私 保 护 C I A   V a u l t   7 第 四 波 ： 蝗 虫 来 袭 ， 微 软 W i n d o w s 寸 草 不 生 【 附 下 载 】 “ 天 堂 文 件 ” 千 万 富 豪 记 录 惊 现 特 朗 普 与 俄 罗 斯 秘 密 关 系 微 软 最 新 内 核 漏 洞 ： 所 有 W i n d o w s 版 本 受 影 响 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理